DNS serverī BIND ir pievienota eksperimentāla atbalsta funkcija DNS-over-HTTPS.

DNS server BIND's developers have announced the addition of server support for "DNS over HTTPS" (DoH, DNS over HTTPS) and DNS over TLS (DoT, DNS over TLS) to the experimental branch 9.17, as well as the XFR-over-TLS mechanism for secure transfer of DNS zone content between servers. DoH is available for testing in release 9.17.10, while DoT support has been included since release 9.17.7. After stabilization, DoT and DoH support will be backported to the stable branch 9.16.

The implementation of the HTTP/2 protocol used in DoH is based on the nghttp2 library, which is included among the build dependencies (the library is planned to be moved to optional dependencies in the future). Both encrypted (TLS) and unencrypted connections via HTTP/2 are supported. With appropriate settings, a single named process can now handle not only traditional DNS requests but also requests sent using DoH (DNS-over-HTTPS) and DoT (DNS-over-TLS). Client-side HTTPS support (dig) has not yet been implemented. XFR-over-TLS support is available for both incoming and outgoing requests.

Processing requests using DoH and DoT is enabled by adding the http and tls options in the listen-on directive. To support unencrypted DNS-over-HTTP, the settings should specify "tls none". Keys are defined in the "tls" section. The standard network ports 853 for DoT, 443 for DoH, and 80 for DNS-over-HTTP can be overridden using the tls-port, https-port, and http-port parameters. For example: tls local-tls { key-file "\/path\/to\/priv_key.pem"; cert-file "\/path\/to\/cert_chain.pem"; }; http local-http-server { endpoints { "\/dns-query"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; }

Among the features of the DoH implementation in BIND is its integration as a common transport that can be used not only for handling client requests to the resolver, but also for data exchange between servers, when transferring zones by the authoritative DNS server, and for processing any requests supported by other DNS transports.

Viena no iezīmēm ir iespēja pārnest šifrēšanas operācijas TLS uz citu serveri, kas var būt nepieciešams gadījumos, kad TLS sertifikāti tiek glabāti citā sistēmā (piemēram, web serveru infrastruktūrā) un to apkalpo cits personāls. Atbalsts nešifrētam DNS-over-HTTP ir ieviests, lai atvieglotu atkļūdošanu un kalpotu kā līmenis datu pārraidīšanai iekšējā tīklā, uz kura pamata citā serverī var organizēt šifrēšanu. Nginx var tikt izmantots ārējā serverī TLS satiksmes veidošanai, līdzīgi kā tiek organizēta HTTPS saistīšana vietnēm.

Atgādinām, ka DNS-over-HTTPS var būt noderīgs, lai novērstu informācijas noplūdi par vaicātajiem resursdatoru vārdiem caur pakalpojumu sniedzēju DNS serveriem, cīnītos ar MITM uzbrukumiem un DNS datu plūsmas viltojumiem (piemēram, pieslēdzoties publiskajam Wi-Fi), kā arī pretotos DNS līmeņa bloķēšanai (DNS-over-HTTPS nevar aizstāt VPN bloķēšanas apiet mehānismus, kas īstenoti DPI līmenī) vai nodrošinātu darbību, ja nav iespējams tieši sazināties ar DNS serveriem (piemēram, darbojoties caur starpniekserveri). Ja parastajā situācijā DNS pieprasījumi tieši tiek sūtīti uz noteiktiem DNS serveriem, kas norādīti sistēmas konfigurācijā, tad DNS-over-HTTPS gadījumā pieprasījums noteikšanai IP adreses resursdatora vārdi ir ieliktas HTTPS datu plūsmā un nosūtīta uz HTTP serveri, kur resolveris apstrādā pieprasījumus caur Web API.

„DNS over TLS” atšķiras no „DNS over HTTPS” ar standarta DNS protokola izmantošanu (parasti tiek izmantots tīkla ports 853), kas ietverts šifrētā sakaru kanālā, kas izveidots, izmantojot TLS protokolu ar hosta validācijas pārbaudi izmantojot TLS/SSL sertifikātus, ko ir parakstījis sertifikācijas iestāde. Pastāvošais standarts DNSSEC izmanto šifrēšanu tikai klienta un servera autentificēšanai, taču nesargā satiksmi no pārtveršanas un negarantē pieprasījumu konfidencialitāti.

Avots: opennet.lv